관리형 클라우드 서비스 제공업체(Managed Cloud Services Provider, MCSP)는 기업이 클라우드 환경의 일부 또는 전반을 운영하는 데 도움을 주는 역할을 한다. 여기에는 시스템의 클라우드 이전, 모니터링과 유지 관리, 성능 개선, 보안 도구 운영, 비용 통제 지원 등이 포함된다. MCSP는 일반적으로 퍼블릭, 프라이빗, 하이브리드 클라우드 환경 전반에서 서비스를 제공한다.

기업은 클라우드 환경 가운데 어떤 영역을 제공업체에 맡기고, 어떤 부분을 내부에서 직접 운영할지를 결정한다. 대부분의 경우 기업과 MCSP는 책임을 공유하는 구조다. 제공업체는 일상적인 운영과 도구 관리를 담당하고, 기업은 비즈니스 의사결정과 데이터, 거버넌스에 대한 책임을 유지한다.

사이버보안 컨설팅 기업 사이엑셀(CyXcel)의 북미 디지털 포렌식 및 사고 대응 부문 MCSP 부사장인 브렌트 라일리는 MCSP를 선택하는 과정이 언제나 부담스럽다고 설명했다.

라일리는 “서비스 수준 계약(SLA)에 명시된 수준으로 서비스를 수행할 것이라는 신뢰에 크게 의존하지만, 실제로 이를 충족하고 있는지는 장애나 사이버 보안 사고가 발생해 문제가 드러나기 전까지 검증하기 어렵다”라며 “그 시점에는 이미 피해가 발생한 뒤인 경우가 많다”라고 전했다. 그는 또 “MCSP는 점검할 수 있는 물리적 인프라가 없고, 온프레미스 환경처럼 눈에 보이는 작업도 없어 평가와 선택이 더욱 까다롭다”라고 언급했다.

MCSP의 장점

운영 부담 감소: MCSP는 일상적인 클라우드 관리 업무를 대신 수행해 내부에 대규모 클라우드·인프라 조직을 유지해야 하는 부담을 줄여준다. 특히 내부에 클라우드나 핀옵스(FinOps) 전문성이 충분하지 않은 조직에 효과적이다.

신속한 문제 대응 : 대부분의 MCSP는 24시간 모니터링과 지원 체계를 제공한다. 문제가 발생하면 사용자나 애플리케이션에 큰 영향을 미치기 전에 빠르게 대응할 수 있다.

재해 복구와 복원력 지원 : MCSP는 백업과 재해 복구 환경의 설계, 운영, 테스트를 지원한다. 복구 목표는 고객이 정의하지만, 문제가 발생했을 때 시스템을 신속하게 복구할 수 있도록 돕는 역할을 맡는다.

지속적인 플랫폼 관리 : 클라우드 플랫폼은 변화 속도가 빠르다. MCSP는 인프라 구성 요소를 최신 상태로 유지하고 호환성을 관리해, 오래된 설정으로 인한 위험을 줄이는 동시에 주요 변경 시점에 대한 통제권은 고객이 유지할 수 있도록 한다.

보안 전문성과 도구 제공 : 클라우드 보안에는 수요가 높은 전문 역량이 요구된다. MCSP는 아이덴티티 관리, 모니터링, 규정 준수 도구, 보안 모범 사례에 대한 경험을 바탕으로 일상적인 보안 수준 강화를 지원한다. 보안 책임은 여전히 기업과 제공업체가 공유한다.

신뢰성과 성능 향상 : 대규모이면서 복잡한 환경을 운영해 온 경험을 바탕으로, 보다 안정적이고 확장 가능하며 복원력 있는 클라우드 인프라의 설계와 운영을 지원한다.

기존 시스템과의 통합 : MCSP는 클라우드 자원을 온프레미스 시스템, 애플리케이션, 아이덴티티 플랫폼과 연계해 사용자와 애플리케이션이 중단 없이 클라우드 서비스를 이용할 수 있도록 한다.

비용 절감보다는 예측 가능한 운영 : MCSP를 활용하면 내부 인력과 도구 비용을 줄일 수 있지만, 전체 클라우드 지출이 항상 감소하는 것은 아니다. 현재 MCSP의 가치는 저렴한 클라우드 요금보다는 운영 효율성, 전문성, 대응 속도에 더 있다.

MCSP 선택 시 핵심 고려 사항

IT 관리 소프트웨어 제공업체 커넥트와이즈(ConnectWise)의 최고경영자 매니 리벨로는 조직이 점점 더 자율적이고 AI 기반 서비스로 전환하는 과정에서, MCSP가 자동화를 실제 일상 운영에서 제대로 작동하도록 만드는 중요한 역할을 한다고 설명했다.

리벨로는 많은 조직이 예상보다 중요하게 인식하지 못하는 요소로 운영 투명성을 꼽았다. 그는 클라우드 환경이 어떻게 설계되고, 보안이 적용되며, 운영되고 있는지에 대한 명확한 가시성이 필요하다고 설명했다. 아울러 에이전틱 AI가 시스템을 어떻게 모니터링하고 의사결정을 내리며 실제 조치를 취하는지까지 조직이 이해하고 있어야, 인지하지 못한 상태에서 중요한 일이 진행되는 상황을 막을 수 있다고 언급했다.

리벨로는 “자율성이 높아질수록 운영 성숙도의 중요성도 커진다”라며 “여기에는 체계적인 데이터 거버넌스, 강력한 물리적·논리적 보안, 자동화와 인간 감독의 균형을 고려한 명확한 사고 대응 프로세스가 포함된다”라고 설명했다. 그는 “에이전틱 AI는 문제를 탐지하고 신호를 연관 분석하며 기계 속도로 대응할 수 있지만, 정책 설정과 결과 검증, 예상 범위를 벗어난 상황에서의 판단은 여전히 사람이 담당해야 한다”라고 말했다.

리벨로는 MCSP가 관리형 서비스 모델과 그 주변 생태계에 얼마나 잘 부합하는지도 중요하다고 강조했다. 적합한 제공업체는 자동화와 AI를 활용해 운영을 단순화해야 하며, 자동화가 제대로 작동할 경우 현업 인력을 뒷받침하고 운영의 일관성을 높이며, 팀이 또 다른 도구를 관리하는 데 시간을 쓰는 대신 실제로 중요한 업무에 집중할 수 있도록 돕는다고 설명했다.

소프트웨어 라이선스 활용 가치를 높이고 MS, 오라클, 시스코 등 벤더 감사 대응을 지원하는 NPI의 최고경영자 존 윈셋은 가격 구조의 유연성이 MCSP 선택 과정에서 종종 간과된다고 지적했다. 그는 MCSP와 관련된 위험이 초기 비용 증가보다는, 시간이 지나면서 인지하지 못한 채 협상력이 약화되는 데 있다고 분석했다.

윈셋은 소규모 팀이나 아직 클라우드 경험을 구축하는 단계에 있는 조직에는 MCSP가 큰 도움이 될 수 있다고 덧붙였다. 클라우드 지출을 통합하고 마이그레이션 지원, 리소스 최적화, 비용 통제와 같은 서비스를 패키지로 제공함으로써 낭비를 줄이고 클라우드 운영을 보다 수월하게 만들 수 있다는 설명이다. 내부에 클라우드나 핀옵스 역량이 충분하지 않은 조직이라면 이러한 이점이 일정 부분의 trade-off를 감수할 만한 가치가 있다고 전했다.

그는 “클라우드 환경이 확장될수록 가격 구조는 점점 불투명해진다”라며 “MCSP는 MS나 아마존웹서비스(AWS) 요금 위에 자체 마진을 더하는데, 기본 사용료 기준 최대 8% 수준이며 서비스가 묶일 경우 그 이상이 될 수 있다”라고 설명했다. 이어 “이 같은 관리 계층을 통해 MCSP는 약 30~40% 수준의 수익률을 확보한다”라고 언급했다.

MCSP의 단점

기술 컨설팅 기업 하이라인의 기술 부사장 라이언 맥엘로이는 MCSP를 활용할 때 가장 큰 단점으로 통제력 상실을 꼽았다.

맥엘로이는 “각종 라이선스 할인 혜택을 받더라도 계약에 묶여 필요 이상으로 구매해야 하는 구조라면 실제로는 비용을 절감하지 못할 수 있다”라며 “MCSP를 활용하면 조직의 공격 표면이 확대될 수 있다는 점도 고려해야 한다”라고 설명했다. 그는 또 “MS와 같은 대형 클라우드 벤더가 MCSP를 교육하고 가이드를 제공하더라도, 대규모 사이버 보안 사고 이후 작성되는 근본 원인 분석 보고서를 살펴보면 MCSP가 공격 경로로 작용한 사례가 우려스러울 정도로 자주 등장한다”라고 전했다.

리서치 기업 ISG의 디렉터 아네이 나와테는 MCSP 협업이 많은 이점을 제공하는 동시에 분명한 위험도 동반한다고 언급했다.

나와테는 “MCSP가 조직 내 아키텍처 논의의 중심적인 목소리가 되어서는 안 된다”라며 “핵심 시스템에 대한 지식을 내부에 유지하고, 벤더 종속을 줄이며, 시장 모범 사례와 비교했을 때 제공업체로 인한 아키텍처 편향을 완화하기 위해서는 아키텍처 의사결정을 내부에서 소유해야 한다”라고 설명했다.

그는 또 MCSP가 클라우드 비용 관리에 대해 실제로 클라우드를 사용하는 기업만큼의 압박을 느끼지 않는 경우가 많다고 덧붙였다. 결국 과도한 지출의 영향은 기업이 직접 감내하게 되며, 이러한 이유로 많은 기업이 클라우드 비용에 대한 통제력을 확보하기 위해 핀옵스 역할을 다시 내부로 가져온다고 설명했다.

글로벌 시장에서 주목받는 MCSP 6곳

관리형 클라우드 서비스 제공업체는 수십 곳에 이른다. 조사 부담을 줄이기 위해 독립적인 리서치와 애널리스트와의 논의를 바탕으로, 알파벳순으로 주요 MCSP 6곳을 정리했다. 가격 정보는 각 제공업체에 직접 문의해야 한다.

액센추어

액센추어(Accenture)는 전 세계 주요 지역과 시장에 분포한 팀과 센터를 기반으로 관리형 클라우드 서비스를 제공한다. 기업의 클라우드 환경 설계, 운영, 유지 관리를 지원하며, 초기 클라우드 구축부터 모니터링, 유지 보수, 보안을 포함한 지속적인 운영까지 폭넓게 다룬다. MS 애저, 구글 클라우드, AWS 등 주요 클라우드 플랫폼 전반에서 서비스를 제공하는 것도 특징이다. 기업은 복잡한 클라우드 시스템을 전부 내부에서 관리하는 대신, 액센추어를 통해 일상적인 운영과 기술적 관리 업무를 맡길 수 있다. 시스템 모니터링과 이슈 대응, 환경 업데이트 등 일상적인 인프라 운영을 액센추어가 담당함으로써, 내부 인력은 핵심 비즈니스 과제에 집중할 수 있다.

캡제미니

캡제미니(Capgemini)는 전 세계를 대상으로 관리형 클라우드 서비스를 제공하며, 특히 유럽과 북미를 중심으로 멀티클라우드 환경을 지원한다. 제조, 리테일, 금융 서비스, 보험 산업과의 협업 경험이 풍부하다. AWS, MS 애저, 구글 클라우드 등 주요 클라우드 플랫폼과 일부 특화된 엔터프라이즈 클라우드를 기반으로 애플리케이션과 인프라 운영을 지원한다. 모니터링, 백업, 기술 지원을 포함한 관리형 서비스와 함께, 클라우드 이전이 적합한 워크로드를 식별하고 해당 시스템을 이전·운영하는 과정까지 포괄적으로 지원한다. 중견기업보다는 대규모이면서 복잡한 환경을 가진 대기업에 적합한 서비스 성격을 갖고 있다.

딜로이트

딜로이트(Deloitte)는 전 세계 고객을 대상으로 클라우드 서비스를 제공하며, 북미와 유럽 지역의 비중이 크다. 금융·보험, 공공, 헬스케어 산업에서 특히 강점을 보인다. AWS, MS 애저, 구글 클라우드, VM웨어 클라우드, 오라클 클라우드를 포함한 멀티클라우드 환경을 지원한다. 기업의 비즈니스 목표에 맞춰 클라우드 환경을 기획·구축·운영하는 데 초점을 맞추고 있으며, 프로세스와 운영 개선을 포함한 클라우드 전환이 핵심 영역이다. 컨설팅이 주력 사업이지만, 디지털 전환을 추진하는 대기업을 중심으로 관리형 서비스 영역도 지속적으로 확대하고 있다.

HCL테크놀로지스

HCL테크놀로지스(HCL Technologies)는 전 세계에 분포한 팀과 센터를 통해 관리형 클라우드 서비스를 제공한다. AWS, MS 애저, 구글 클라우드 등 주요 클라우드 제공업체와 협력해 각 기업의 요구에 맞는 클라우드 환경을 설계·구축하고, 이후 안정적인 운영을 지원한다. 구축 이후에는 24시간 모니터링, 성능 관리, 장애 대응 등 일상적인 운영을 담당하며, 반복적인 IT 작업에는 자동화와 AI 도구를 활용한다. 금융, 제조, 헬스케어 등 다양한 산업에서 안정적인 클라우드 시스템 운영을 지원하는 것이 특징이다.

NTT데이터

NTT데이터(NTT Data)는 전 세계 고객을 대상으로 관리형 클라우드 서비스를 제공하며, 제조, 헬스케어, 금융 서비스, 보험 등 폭넓은 산업을 지원한다. MS 애저, 구글 클라우드, IBM 클라우드, AWS를 기반으로 한 멀티클라우드 전략을 채택하고 있다. 애플리케이션의 클라우드 이전, 노후 시스템 현대화, 레거시 기술 전환을 지원하는 한편, NTT 그룹 전반의 역량을 활용해 아이덴티티 및 접근 관리, 네트워킹, 관리형 보안 서비스도 함께 제공한다. 이를 통해 고객이 비즈니스를 보다 효과적으로 지원하는 클라우드 기반 시스템을 구축하도록 돕는다.

타타컨설턴시서비스

타타컨설턴시서비스(Tata Consultancy Services, TCS)는 전 세계 기업과 협력하고 있지만, 관리형 클라우드 서비스 고객은 주로 북미와 유럽에 집중돼 있다. 금융 서비스, 생명과학·제약, 리테일 산업에서 강한 경험을 보유하고 있다. MS 애저, 구글 클라우드, 오라클 클라우드, AWS를 중심으로 멀티클라우드 환경을 지원하며, 일부 IBM 클라우드도 제공한다. 주요 클라우드 파트너별 전담 팀을 운영하며, 대기업을 대상으로 클라우드 이전 전략 수립, 기존 시스템 이전, 애플리케이션 현대화를 지원한다. 서비스의 중심은 대기업에 맞춰져 있으며, 중견기업 대상 비중은 상대적으로 제한적이다.
dl-ciokorea@foundryco.com

A managed cloud services provider (MCSP) helps organizations run some or all of their cloud environments. This can include moving systems to the cloud, monitoring and maintaining them, improving performance, managing security tools, and helping control costs. MCSPs typically work across public, private, and hybrid cloud environments.

Organizations decide which parts of their cloud environments they want the provider to handle and which parts they want to keep in-house. In most cases, the company and the MCSP share responsibility. The provider manages day-to-day operations and tooling, while the organization stays accountable for business decisions, data, and governance.

Choosing an MCSP is always an unnerving experience, says Brent Riley, MCSP VP of digital forensics and incident response for North America at cybersecurity consultancy CyXcel.

“So much trust is placed in their ability to perform to the level promised in their SLA, but it can be tough to validate whether they’re being met until there’s an outage or cybersecurity incident that reveals issues,” he says. “At that point, the damage is done. MCSPs are even more challenging to evaluate and select as there’s no physical infrastructure to inspect, and no visible work being done within an on-premise infrastructure.”

Benefits using an MCSP

Reduced operational burden: MCSPs can take on day-to-day cloud management tasks, reducing the need for large internal cloud and infrastructure teams. This is especially helpful for organizations that don’t have deep cloud or FinOps expertise in-house.

Faster problem response: Most MCSPs provide 24/7 monitoring and support. When issues arise, their teams can respond quickly, often before problems significantly impact users or applications.

Support for disaster recovery and resilience: MCSPs help design, manage, and test backup and disaster recovery setups. While customers still define recovery goals, providers help ensure systems can be restored quickly if something goes wrong.

Ongoing platform management: Cloud platforms change frequently. MCSPs help keep infrastructure components current and compatible, reducing the risk of outdated configurations while allowing customers to control when major changes are introduced.

Security expertise and tooling: Cloud security requires specialized skills in high demand. MCSPs bring experience with identity management, monitoring, compliance tools, and security best practices. Security remains a shared responsibility, but providers help strengthen day-to-day protection.

Improved reliability and performance: With experience running large and complex environments, MCSPs can help design and operate cloud infrastructure that’s more stable, scalable, and resilient.

Integration with existing systems: MCSPs help connect cloud resources with on-prem systems, applications, and identity platforms. This makes it easier for users and applications to access cloud services without disruption.

More predictable operations, not always lower costs: While MCSPs can reduce internal staffing and tooling costs, they don’t always lower overall cloud spend. Their value today is more about operational efficiency, expertise, and speed than cheaper cloud pricing.

Key considerations when choosing an MCSP

As organizations move toward more autonomous, AI-driven services, MCSPs play an important role turning automation into something that actually works every day, says Manny Rivelo, CEO at ConnectWise, a provider of IT management software.

Rivelo says one thing matters more than many teams realize: operational transparency. Organizations need a clear view into how their cloud environments are designed, secured, and managed, as well as how agentic AI monitors systems, makes decisions, and takes action so nothing important happens behind the scenes without their knowledge.

“Operational maturity matters more as autonomy increases,” Rivelo says. “This includes disciplined data governance, strong physical and logical security, and well-defined incident response processes that balance automation with human oversight. While agentic AI can detect issues, correlate signals, and respond at machine speed, humans remain essential to set policy, validate outcomes, and make judgment calls when conditions fall outside expected patterns.”

It’s also important that the MCSP fits well with the managed services model and the broader ecosystem around it, according to Rivelo. The right provider should use automation and AI to make things simpler. After all, when automation is done right, it backs up the people doing the work, brings more consistency to operations, and gives teams more time to focus on what actually matters, not manage another set of tools.

One factor that often gets missed when choosing an MCSP is how flexible pricing really is, says Jon Winsett, CEO at NPI, which helps enterprises get more value from their software licenses and navigate audits from vendors such as Microsoft, Oracle, and Cisco. The risk with an MCSP is usually not paying more at the start but losing negotiating power over time without noticing it.

MCSPs can be a big help for smaller teams or organizations still building cloud experiences, he adds. By combining cloud spend and packaging services, such as migration support, rightsizing, and cost controls, they can cut down on waste and make the cloud easier to run. For organizations without strong cloud or FinOps skills in-house, those benefits can be worth the tradeoffs.

“As cloud environments grow, pricing often becomes less clear,” says Winsett. “MCSPs add their own markup on top of Microsoft or AWS pricing, up to 8% for basic spend and more when services are bundled. That managed layer is how MCSPs reach profit margins of roughly 30 to 40%.”

Disadvantages to working with an MCSP

The biggest disadvantage using an MCSP is loss of control, according to Ryan McElroy, VP of technology at tech consulting firm Hylaine. 

“If you get discounts for various licenses, but you’re locked into contracts and have to overbuy, then you may not be saving money,” he says. “And an MCSP adds to your organization’s attack surface area. While Microsoft and other large cloud vendors train their MCSPs and provide guidance, if you read the root cause analysis reports produced after major cybersecurity incidents, you’ll find it’s a worryingly common vector.”

Anay Nawathe, director at research and advisory firm ISG, says that while working with MCSPs has many benefits, there are also risks.

“Your MCSP shouldn’t be the main voice of architecture in your organization,” he says. “Architectural decisions should be owned internally to maintain key systems knowledge in-house, reduce vendor lock-in, and mitigate architectural bias from a provider compared to market best practices.”

Additionally, he adds that MCSPs don’t always feel the same pressure to manage costs as the companies using the cloud. In the end, enterprises are the ones who feel the impact of overspending, which is why many bring FinOps roles back in-house to take direct control of cloud costs, he says.

6 top MCSPs

There are dozens, so to help streamline the research, we highlight the following products, arranged alphabetically, based on independent research and discussions with analysts. Organizations should contact providers directly for pricing information.

Accenture

Accenture offers its managed cloud services to customers worldwide, backed by teams and centers in most major regions and markets. It helps organizations design, run, and maintain their cloud environments, and supports everything from initial cloud setup to ongoing operations, including monitoring, maintenance, and security. Accenture also works across major cloud platforms, such as Microsoft Azure, Google Cloud, and AWS. Instead of managing complex cloud systems entirely in-house, companies can use Accenture’s services to handle routine operations and technical oversight. This includes monitoring systems, addressing issues as they come up, and keeping cloud environments updated. Overall, Accenture manages the day-to-day cloud infrastructure so organizational in-house staff can focus on key business priorities.

Capgemini

Capgemini provides managed cloud services worldwide and supports multicloud environments across all major regions, with much of its work centered in Europe and North America. The company works closely with industries such as manufacturing, retail, financial services, and insurance. Capgemini helps organizations run and manage applications on major cloud platforms, including AWS, Microsoft Azure, and Google Cloud, as well as specialized enterprise clouds. Its managed services cover both infrastructure and applications, including monitoring, backups, and technical support. Capgemini also helps companies decide which workloads make sense to move to the cloud, migrate those systems, and manage them over time. The firm is best suited for large enterprises and complex environments rather than midsize organizations.

Deloitte

Deloitte provides cloud services to customers around the world, with much of its work focused on organizations in North America and Europe. It works heavily with industries in financial services and insurance, government, and healthcare. Deloitte supports multicloud environments and works with platforms including AWS, Microsoft Azure, Google Cloud, VMware Cloud, and Oracle Cloud. The firm helps companies plan, build, and operate cloud environments tailored to business goals. A key focus is cloud transformation, including identifying where cloud tech can improve processes and operations. Deloitte is best suited for large enterprises pursuing digital transformation, and while consulting remains its core business, the firm continues to expand its managed services offerings.

HCL Technologies

Managed cloud services from HCL Technologies are offered globally, and supported by teams and centers around the world. HCL helps organizations move their systems to the cloud and keep them running smoothly over time. It works with major cloud providers, such as AWS, Microsoft Azure, and Google Cloud to design and set up cloud environments that match each business’s needs. Once everything’s in place, HCL handles the daily operations, including around-the-clock monitoring, performance management, and fixing issues as they arise, and also uses automation and AI tools for routine IT tasks. Overall, HCL helps organizations maintain reliable cloud systems across industries like banking, manufacturing, and healthcare.

NTT Data

NTT Data delivers managed cloud services to customers globally. It supports a wide range of industries, including manufacturing, healthcare, financial services, and insurance. NTT Data takes a multicloud approach, with managed services customers running on Microsoft Azure, Google Cloud, IBM Cloud, and AWS. NTT Data also helps companies move applications to the cloud, modernize aging systems, and move away from legacy tech, as well as draws on expertise from across the NTT Group to offer services like identity and access management, networking, and managed security, helping customers build cloud-based systems that better support their businesses.

Tata Consultancy Services

TCS works with organizations worldwide, but most of its cloud and managed services customers are in North America and Europe. The company has strong experience in industries such as financial services, life sciences and pharmaceuticals, and retail. TCS supports multicloud environments and works with leading cloud platforms like Microsoft Azure, Google Cloud, Oracle Cloud, and AWS, with some support for IBM Cloud. TCS has dedicated teams for its largest cloud partners and helps large enterprises plan cloud migrations, move existing systems, and modernize applications for the cloud. The majority of this work is focused on large enterprises, with limited emphasis on midsize organizations.

---

While there may be a lot of “hysteria” surrounding AI right now, Jim Palermo, for one, isn’t too concerned about a potential AI bubble.

Palermo, CIO of Trimble, a $3.7 billion platform company serving the engineering, construction, and transportation industries, says that despite the noise, Trimble will continue investing in the technology to drive innovation and improve productivity.

Palermo is among the CIOs who think an AI bubble is not unrealistic, but are taking a measured approach to adopting the technology. The level of concern, Palermo says, “depends on how much you’ve drank the Kool-Aid.”

Other IT leaders say an AI bubble wouldn’t indicate the technology has no future but would be more about inflated expectations colliding with operational reality. The real risk isn’t investing in AI, they contend, but in betting on unproven models, vendors, or single-use platforms.

In light of concerns over inflated company valuations, IT leaders advise their colleagues to make more disciplined and informed decisions, and consider shorter contracts to hedge their bets in case the technology or market shifts. They also counsel peers to tighten governance and get small proofs of concept (PoCs) under their belts before committing to full-scale initiatives.

De-risking AI commitments

As for the AI industry’s future, Palermo believes there will be “a lot of point AI solutions that are going to disappear … over the next year or two.”

“I think that the larger platform ecosystems are really starting to have a strong AI foundation, and they’re … better able to articulate how they can leverage AI,” Palermo adds.

“Any CIO is trying to take advantage of those types of ecosystems because we’re spending millions of dollars on that software,” says Palermo, who sees governance as a key priority in ensuring the appropriate rigor around security and privacy for AI rollouts. “So, I think you’re going to see CIOs double down on that.”

One strategy CIOs are using to hedge against a potential AI bubble without stalling progress is to separate capability from hype, says Shawn Jahromi, founder and principal advisor at Alpharay Consulting.

“CIOs are funding narrowly scoped AI use cases tied to operational metrics like cycle time reduction, error rates, and cost containment,” says Jahromi, who is also a doctoral researcher in digital transformation and AI governance. “This limits exposure if valuations or vendor viability shift.”

CIOs are also treating AI as an operating model change rather than a technology purchase, he says. “This includes governance, accountability, and human override structures. CIOs who do this are less vulnerable to bubbles because value creation is embedded in workflow design, not tools.”

The CIOs Jahromi works with “are not slowing AI adoption. They are de-risking it structurally.”

Staying resilient is a core strategy

Another strategy Jahromi sees CIOs implementing is retaining architectural control by prioritizing data ownership, model portability, and vendor exit options. “The goal is resilience,” he says. “If an AI vendor fails or pricing collapses, the institution does not lose decision rights or operational continuity.”

Bread Financial CTO Allegra Driscoll is taking “a measured, super pragmatic approach” to AI investments, and says leadership is not interested in “chasing the best tool or being first to market.” It’s important to build capabilities that create value while maintaining resiliency, she says.

“We’re focused on high-value, proven use cases,” Driscoll says, adding that she spends a lot of time “evaluating a full set of risks” with all Bread Financial tech investments. “So, I feel really confident that those high-value, proven use cases we’ve moved forward on and put into production are going to continue to provide value for [us] and our customers.”

Staying the course with AI starts with the outcomes CIOs are trying to drive, Trimble’s Palermo says, as well as working with the business on solving pain points. “That protects you from complete chaos,” he says. “Cultivate that spirit of innovation, but there should be some rigor when you go from innovation and ideas to actual production. There’s got to be some governance around that.”

Further, CIOs shouldn’t hedge against AI “as much as being intentional and designing for resilience,” says Anurag Sharma, CTO of VyStar Credit Union. This is especially important for financial services firms, he says, “where trust and stability matter as much as innovation.”

To that end, VyStar’s approach is to use AI where it clearly solves a business problem, improves outcomes for their members, and enhances operational efficiency “with a deliberate focus on strengthening fundamentals that will outlast any hype cycle,” Sharma says.

This requires clean and well-governed data, modular and interoperable architecture, and people who understand both the technology and the business, he says.

“If the AI bubble cools, these fundamentals and investments will still compound value and improve safety and efficiency; if it accelerates, we will be positioned to scale responsibly without compromising compliance or member experience,” Sharma says. “The goal shouldn’t be to chase the shiny AI at all costs, rather, to remain adaptable, financially disciplined, and be able to pivot with confidence.”

Reigning in tool sprawl

A lot of enterprises struggle with tool sprawl, and in an uncertain economy, CIOs are doubling down on reining in tool overload and spending. Palermo says Trimble is beginning to rationalize and create metadata around the software they have and whether there are 10 tools that do the same thing. This is particularly true of AI tools, so Palermo is working on tightening up their source to pay process “so we get more rigor around ensuring we’ve got everything that’s coming in registered.” That way, if someone is looking for an AI tool IT will have vetted it and can make a recommendation.

“We want to drive innovation [using] groups of tools that satisfy particular needs in the AI space,” he says.

“Buying up a lot of tools can create an architecture that’s very complicated, and if you’re not sure that’s going to produce lot of value, then the risk of having one link in the chain fail on a critical process is probably not worth it,” agrees Driscoll.

Anchoring low risk with high value

Bread Financial will “continue to invest in high-value use cases going into 2026,” such as a knowledge management capability IT built for the company’s customer care agents, Driscoll says. At the same time, “we approach all new technology in a similar way — we try to slow down to go fast.”

Like Sharma, she says that consumer trust is paramount, “so we tend to spend a good amount of time building out a robust, controlled environment and make sure we understand the full scope of risks. Then we’ll chose a use case or use cases that are low-risk, high-value, to start to build experience across the team.”

That approach will continue, especially as they build out knowledge management use cases and start to use agentic AI.

Sharma also anticipates continued investments in AI in 2026. “The percentage of our IT budget dedicated to AI investments will depend on various factors, including the evolving landscape and specific business needs,” he says. “However, we remain committed to leveraging AI where it makes a meaningful impact on our operations and member experience.”

Vendor consolidation may heighten risk exposure

Benjamin Hori, cofounder and CSO of Spotlite, an online booking platform connecting models with fashion brands and agencies, believes the signs of an AI correction are already here, and startups are being impacted, which creates exposure to risk.

“When dominant players begin bundling capabilities that eliminate the need for entire categories of startups, we see immediate fallout — rapid consolidation, abrupt pivots, and smaller vendors disappearing overnight,” Hori says. “That instability directly impacts security teams that rely on those tools.”

One of the clearest indicators of what’s real versus hype is whether a company is training its own models “or simply wrapping someone else’s API,” he says. “From a CSO perspective, that distinction matters because it affects data control, attack surface, long-term viability, and ultimately, risk. A vendor without proprietary models or rights-cleared datasets has no defensible foundation, and that becomes our risk exposure.”

To hedge against AI volatility, Hori says Spotlite prioritizes partners with distinct data advantages, strong governance practices, and architectures resilient to market shifts. “We also build flexibility into our stack so we’re not dependent on any one model provider,” he says, “especially in a climate where startups can vanish quickly.”